安基网 欢乐生肖 资讯 安全报 查看内容

网络间谍组织BlackTech再出手,最新病毒自带逃避查杀功能

2020-1-4 10:55| 投稿: |来自:


免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

摘要: BlackTech,一个主要以东亚地区(尤其是中国台湾,也包括中国香港和日本)的技术公司和政府机构为攻击目标的网络间谍组织,且并被认为是恶意软件“Waterbear”的幕后操控者。Waterbear是一种模块化恶意软件,已经存在了多年,其加载模块能够通过从命令和控制(C2)服务器下载有效载荷来实现不同的功能 ...


BlackTech,一个主要以东亚地区(尤其是中国台湾,也包括中国香港和日本)的技术公司和政府机构为攻击目标的网络间谍组织,且并被认为是恶意软件“Waterbear”的幕后操控者。

Waterbear是一种模块化恶意软件,已经存在了多年,其加载模块能够通过从命令和控制(C2)服务器下载有效载荷来实现不同的功能。在大多数情况下,有效载荷都是后门程序,可以接收和加载其他模块。

最近,网络安全公司趋势科技(Trend Micro)捕获了Waterbear的一个最新变种,其加载模块不仅会下载第一阶段后门,而且还会下载一个会将代码注入特定的安全产品中进行API挂钩来隐藏第一阶段后门恶意行为的有效载荷。

旧版本Waterbear

如上所述,Waterbear具有模块化的结构,通过加载模块(DLL文件)解密并执行RC4加密的有效载荷。一般情况下,有效载荷都是第一阶段后门,用于从攻击者那里接收并加载其他可执行文件。

根据功能的不同,第一阶段后门大致可分为两种:第一种,连接C2服务器;第二种,侦听特定端口。

图1.典型的Waterbear感染链

如上图所示,典型的Waterbear感染从一个恶意DLL加载程序开始,而涉及到的触发技术也分为两种:第一种,修改合法的服务器应用程序以导入和加载DLL加载器;第二种,执行虚拟DLL劫持和DLL端加载。

为了逃避安全检测,有效载荷会在执行实际的恶意例程之前对所有的函数块进行加密,然后只会在需要使用函数时,解密相应函数并执行,而之后则会再次对函数加密。

图2.解密-执行-加密函数

新版本Waterbear

与之间的版本不同,趋势科技此次捕获的新版本Waterbear加载了两个有效载荷。其中,第一个有效载荷会将代码注入特定的安全产品中进行API挂钩来隐藏其恶意行为,而第二个有效载荷则是典型的Waterbear第一阶段后门。

图3.新的Waterbear感染链

两种有效载荷均经过加密处理,存储在受感染计算机的磁盘上,并注入到同一服务(如LanmanServer)中。

趋势科技表示,新版本Waterbear的加载程序首先会试图从文件中读取并解密有效载荷,然后对其解密,并按如下条件执行线程注入:

1。如果在磁盘上找不到第一个有效载荷,则将终止加载程序而不会加载第二个有效载荷(即第一阶段后门)。

2.如果第一个有效载荷被成功解密并注入到服务中,那么不管第一个线程发生了什么,第二个有效载荷也将被加载并注入。

3.在第一个注入的线程中,如果找不到来自特定安全产品的必要可执行文件,那么该线程将被终止,而不会执行其他恶意例程。需要注意的是,只有线程将被终止,而服务仍将运行。

为了隐藏第一阶段后门,第一个有效载荷使用了API挂钩技术来逃避特定安全产品的检测。具体来说,它挂钩了两个不同的API,即“ZwOpenProcess”和“GetExtendedTcpTable”,以隐藏其特定进程。

图4。“ZwOpenProcess”的函数挂钩,用于检查和修改函数的输出

图5。被修改后的“ZwOpenProcess”

结论

趋势科技表示,这是他们首次观察到Waterbear试图隐藏其后门活动。

根据硬编码的安全产品名称,趋势科技认为攻击者应该十分了解受害者所使用的安全产品,甚至连这些安全产品是如何在客户端的端点和网络上收集信息的都十分清楚。因为只有这样,他们才有可能知道具体要挂钩哪些API。

此外,由于API挂钩shellcode采用的是通用方法,因此攻击者之后还可能会使用类似的代码段来应对其他安全产品,使得Waterbear活动更加难以检测。



小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!

本文出自:https://www.toutiao.com/a6774224908864979468/

免责声明:本站系公益性非盈利IT技术普及网,本文由投稿者转载自互联网的公开文章,文末均已注明出处,其内容和图片版权归原网站或作者所有,文中所述不代表本站观点,若有无意侵权或转载不当之处请从网站右下角联系我们处理,谢谢合作!

相关阅读

最新评论

 最新
返回顶部
快乐赛车 快赢彩票 安徽快3走势 快乐赛车开奖 欢乐生肖 吉林快3 秒速时时彩 极速快乐十分 幸运飞艇官网 99彩票网址多少